автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.11, диссертация на тему:Исследование и разработка методов и средств создания эталонов для оценки защищённости корпоративных программных систем

На правах рукописи

Петров Сергей Андреевич

Исследование и разработка методов и средств создания эталонов для оценки защищённости корпоративных программных систем

Специальность 05.13.11. - Математическое и программное обеспечение вычислительных машин, комплексов и компьютерных сетей

АВТОРЕФЕРАТ

диссертации на соискание учёной степени

кандидата технических наук

2 6 МАИ-2014

Москва 2014

005549435

Работа выполнена на кафедре Прикладной математики Федерального Государственного бюджетного образовательного учреждения высшего профессионального образования «Национального исследовательского университета «МЭИ»

Научный руководитель:

кандидат технических наук, профессор ФГБОУ ВПО «НИУ «МЭИ» Хорев Павел Борисович

Официальные оппоненты:

Ведущая организация:

Мельников Николай Викторович

доктор технических наук, профессор ФГБОУ ВПО «ГУУ»

Костарев Александр Николаевич

кандидат технических наук, доцент, консультант, ООО «Ренессанс Капитал -Финансовый Консультант»

ФГБОУ ВПО «Московский государственный технологический университет «СТАНКИН»

Защита состоится ^шоиА. 2014 г. час. 00 тт. на заседании

диссертационного совета Д 212.157.01 при НИУ МЭИ по адресу 111250, Москва, ул. Красноказарменная, д. 13, (ауд. М-704).

С диссертацией можно ознакомиться в библиотеке ФГБОУ ВПО «НИУ «МЭИ» и на сайте www.mpei.ru.

Автореферат разослан мая 2014 г.

Ученый секретарь

диссертационного совета Д 212.157.01, кандидат технических наук, доцент

М. В. Фомина

ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ

Актуальность работы. Современное общество не представляет своё существование без множества программных систем (ПС), в том числе и сложных систем автоматизации производства, управления полётами, управления электростанциями (включая атомные и тепловые) и т.п. И, конечно, без корпоративных информационных систем (КИС), обеспечивающих обработку больших объемов ценной информации.

Качество КИС и корпоративных программных систем (КПС) напрямую влияет на эффективность работы предприятий и организаций, а одним из показателей качества КПС (в соответствии с ISO/ffiC 9126:1993) является их защищенность. Обеспечение защиты усложняется тем, что нельзя формально описать и предсказать действия злоумышленника. Постоянное развитие и рост сложности КПС — это ещё один фактор, влияющий на их защищённость. Весьма важной становится задача создания эталонов для оценки текущей защищённости КПС, учитывающих не только известные, но и новые уязвимости и угрозы. Такие эталоны безопасности можно было бы применять как при разработке новых систем, так и для оценки защищённости уже функционирующих систем. Задача получения таких эталонов является слабо формализованной и для её решения требуется детальный анализ множества параметров систем.

На сегодняшний день одной из наиболее перспективных областей для проведения исследований является область искусственного интеллекта (ИИ). На данный момент активно ведутся исследования в области ИИ, результаты которых успешно внедряются в различные сферы человеческой деятельности. Поэтому перспективньм направлением исследований представляется применение методов, используемых в системах ИИ, для решения задач контроля безопасности (КБ) ПС. Уже имеется несколько примеров успешного использования продукционных систем, нейронных сетей, многоагентных систем для решения задач КБ. Исследованием различных методов анализа защищённости ПС с применением ИИ занимались и продолжают заниматься отечественные и зарубежные авторы: Котенко И.В., Саенко И.Б., Степашкин М.В., Брюхомицкий Ю.А., Резник A.M., Карпов В.В, Ю.Р. Айдаров, Herzog, N. Shahmehri и др.

Цель работы и задачи исследования.

Целью работы является повышение эффективности средств оценки защищённости корпоративных программных систем на основе статических и динамических эталонов безопасности. Объект исследования — корпоративные

программные системы. Предмет исследования - методы и средства создания эталонов для оценки защищённости корпоративных программных систем. Соответствующие области исследований", модели, методы, алгоритмы, языки и программные инструменты для организации взаимодействия программ и программных систем (п. 3 паспорта специальности ВАК 05.13.11); оценка качества, стандартизация и сопровождение программных систем (п. 10 паспорта специальности ВАК 05.13.11). Для достижения поставленной цели в диссертационной работе должны быть решены следующие научно-практические задачи:

• анализ методов, используемых в системах ИИ, и их применимости для создания эталонов защищенности КПС;

• анализ требований и принципов обеспечения безопасности КПС для уточнения понятия эталона их защищенности;

• разработка методов построения эталонов КПС, позволяющих обнаруживать и устранять как известные, так и новые угрозы безопасности КПС;

• программная реализация и проверка эффективности разработанных методов при создании и эксплуатации реальных КПС.

Методы исследования. При выполнении работы использованы методы эмпирического исследования, методы теоретического исследования, метод построения онтолошй, метод агентного моделирования, статистические методы, нейронные сети, объектно-ориентированное программирование и тестирование программ.

Научная новизна. Научная новизна работы заключается в следующем:

1. Предложено представление КПС в виде комбинации «прототип-реализация», позволяющее выполнять анализ систем целиком или их подсистем и получать статический эталон безопасности КПС. Для предложенного представления формально описана онтология, позволяющая оценивать защищённость КПС с учётом ценности подлежащих защите ресурсов.

2. На основе введенного понятия динамического эталона разработана многоагентная система (MAC), позволяющая получать оценки защищенности КПС с учетом новых видов уязвимостей и угроз: определены состав агентов и требования к ним, взаимосвязи между агентами, разработаны алгоритмы работы агентов. Выполнена оценка защищенности КПС на базе MAC на моделях реальных систем.

3. Разработаны алгоритмы оценки отклонения SQL-запросов с использованием статистических методов и нейросетевых технологий, позволяющие обнаруживать потенциально опасные для КПС запросы.

Достоверность полученных результатов. Достоверность полученных результатов и выводов подтверждается их сравнением с результатами использования существующих средств оценки защищённости КПС, результатами оценки защищённости реальных КПС на основе построенного с применением предложенной онтологии статического эталона, результатами программного моделирования разработанной MAC и результатами внедрения разработанных алгоритмов оценки отклонений в КИС НИУ «МЭИ».

Практическая значимость. Практическая значимость полученных результатов определяется использованием их при анализе защищённости систем КИС НИУ «МЭИ» и подтверждается внедрением интеллектуальных агентов защиты для системы «Планирование учебного процесса» (ПЛУП) и выявленными неправомерными действиями в результате их работы.

Регистрация результатов интеллектуальной деятельности.

Зарегистрировано два программных продукта: «Программа для поиска конфигураций, обеспечивающих минимум издержек компании на защитные средства и возможные потери от компьютерных атак» (заявка № 2014612380) и «Анализатор DML запросов для выявления нарушений целостности базы данных» (заявка№ 2014612899).

Апробация работы. Основные результаты диссертации докладывались и обсуждались на международных научно-технических конференциях «Радиоэлектроника, электротехника и энергетика» (Москва, 2011, 2012, 2014), «Информационные средства и технологии» (Москва, 2011-2013), «Информатизация инженерного образования» (Москва, 2012, 2014), «Информационные технологии. Радиоэлектроника. Телекоммуникации» (Тольятти, 2012, заочно), международных научно-практических конференциях «Перспективные инновации в науке, образовании, производстве и транспорте 2012» (Одесса, 2012, заочно), «Science, Technology and Higher Education» (Канада, 2013, заочно).

Публикации по теме работы. Основные результаты, полученные при выполнении диссертационной работы, опубликованы в 14 печатных работах, в том числе в трёх изданиях из списка ВАК: «Вестник МЭИ» (2013, № 3), «Вестник МГТУ Станкин» (2013, № 3(№26)), «Безопасность информационных технологий» (2013, №2).

Структура и объём работы. Диссертация состоит из введения, четырёх глав, заключения, списка литературы, включающего 97 наименований, списка сокращений и приложений. Диссертация содержит 150 страниц машинописного текста без учёта приложений.

Основные положения, выносимые на защиту:

1. Представление «прототип-реализация», позволяющее произвести сравнение одних КПС с другими и получать статический эталон КПС. Формальное описание соответствующей онтологии в программном средстве Protégé и её применение для анализа реальных систем «ПЛУП» и «Студент».

2. Структура MAC для оценки защищенности КПС. Алгоритмы работы агентов защиты, вычисление и использование коэффициентов отклонения (КО) для получения динамического эталона КПС. Моделирование MAC в программном средстве AnyLogic с использованием модели системы «Студент».

3. Алгоритмы вычисления КО для SQL-запросов с использованием статистических методов и нейросетевых технологий для защиты от угроз нарушения целостности данных. Программная реализация разработанных алгоритмов с использованием пакета STATISTICA, платформы Microsoft .NET, языка С#.

СОДЕРЖАНИЕ РАБОТЫ

Во введении обоснована актуальность исследований, сформулированы цели и задачи исследований, дана общая характеристика работы, включая практическую значимость. Приведены сведения о публикациях, апробации и основные результаты.

В первой главе проводится анализ методов, используемых в системах ИИ, и возможностей их применения для оценки защищённости КПС.

Рассмотрены экспертные системы (ЭС), использующие продукционную модель представления знаний. В качестве примера применения при контроле безопасности (КБ) рассмотрен метод сигнатурного анализа. Поскольку полное совпадение сигнатуры с текущей активностью маловероятно, используется частичное совпадение характеристик и продукционные правила.

Другим рассмотренным методом являются нейронные сети (НС), особенность которых заключается в том, что они не программируются в прямом смысле этого слова, а обучаются. Одно из применений НС - их использование для идентификации поведения пользователя. Для этого НС обучается прогнозировать его следующую команду. Если относительное количество правильно

предсказанных команд на протяжении сеанса работы пользователя выше заданного порога, то поведение считается «нормальным», иначе либо пользователь резко изменил свое поведение, либо под его именем работает нарушитель.

Рассматриваются сети Байеса, использующие формулу Байеса, позволяющую определить вероятность какого-либо события при условии, что произошло другое статистически взаимосвязанное с ним событие. Сети Байеса используются для обнаружения спама.

Анализируются многоагентные системы (MAC), которые решают поставленную задачу с помощью множества агентов, обладающих, как правило, небольшими возможностями. Данный подход находится в стадии становления и является перспективным направлением защиты КПС от распределенных атак с вызовом отказа в обслуживании (DDoS атак).

Рассматривается метод опорных векторов (SVM-метод), который используется для решения задач классификации и регрессионного анализа. В системе обнаружения вторжений MMIDS используется бинарный SVM классификатор для разделения обычных данных и данных при атаке, а также Multi-SVM классификатор для более детальной классификации атак.

Формально представлено понятие онтологии. В качестве одного из примеров его использования приводится стандарт XACML для систем авторизации и управления доступом.

На основании проведённого анализа делается вывод, что исследование и применение методов MAC, в том числе онтологического подхода, и НС является перспективным направлением для решения задач КБ.

Вторая глава посвящена контролю безопасности КПС. В КПС включают подмножество компонентов КИС, в которое входят базы данных (БД), системы управления базами данных (СУБД) и специализированные прикладные программы. Практически любая КПС включает в себя компоненты, которые можно разделить по четырём уровням: уровень программного обеспечения (ПО), уровень СУБД, уровень операционной системы (ОС) и уровень сети. Нарушитель может использовать любой из уровней.

Представлены базовые понятия КБ (политика безопасности и модель события безопасности), классификация уязвимостей по этапам жизненного цикла КПС и угроз их безопасности, примеры вероятных угроз для КПС. Выделяются ключевые этапы осуществления атаки, приводится их классификация и примеры.

Далее в главе анализируются существующие методы и средства КБ. Отмечается, что КПС постоянно развиваются и дополняются новыми компонентами, что увеличивает и возможности злоумышленников. Поэтому особое внимание уделяется концепции адаптивной защиты и элементам, входящим в её состав: методам анализа рисков, средствам анализа защищённости и средствам обнаружения вторжений. Полученные результаты используются далее при разработке средств оценки защищенности КПС.

Третья глава посвящена созданию эталонов для оценки защищённости КПС с применением методов MAC, в том числе онтологического подхода, и НС. Предлагается два варианта эталонов: статический и динамический. Статический эталон - схема, описывающая компоненты КПС, их связи и свойства и автоматически не меняющаяся в процессе функционирования КПС. Такой эталон хорошо подходит для первоначальной настройки. Динамический эталон - набор характеристик компонентов КПС, состав и значение которых меняется в ходе работы. Этот вариант имеет преимущество за счёт возможности изменения (адаптации) механизмов защиты к новым угрозам.

Возможно получение эталонов безопасности с помощью ЭС, основанных на модели безопасности с полньм перекрытием, которая представляет предметную область как трёхдольный граф «угроза — средство безопасности — объект». ЭС позволяет определить набор конфигураций, минимизирующий затраты на защиту и возможные потери. Недостатки этого метода: сложность поддержки базы знаний в актуальном состоянии, невозможность простого переноса полученных решений в другую КПС, недостаточная гибкость описания защищаемых ресурсов компании с помощью базы вопросов и ответов.

Существующие модели безопасности КПС имеют ряд недостатков. Например, субъектно-объектная модель предполагает, что «все аспекты безопасности информации в системе определяются доступами субъектов к объектам». Однако важнейшим фактором, влияющим на безопасность информации, является её ценность. Очевидно также, что тесно связаны с безопасностью состав и структура всей КПС.

Для получения статического эталона безопасности предлагается представление в виде комбинации «прототип-реализация», позволяющее выполнить анализ систем целиком или их подсистем и решить часть других задач, одной из которых является описание КПС согласно руководящим документам (РД) регуляторов. Например, выполнить классификацию КПС для обработки персональных данных (информационных систем персональных данных

(ИСПДн)). В основе представления лежит разделение описания КПС на прототипы компонентов и их реализацию. Каждый элемент представления описывается набором свойств. Прототипы делятся на хранилища информации (ХИ) и каналы передачи информации (КПИ). На верхнем уровне располагается одно ХИ - КПС целиком:

В качестве возможного источника свойств КПС рассматриваются РД. Для более детального описания предлагается использовать декомпозицию, которая осуществляется за счёт свойств уникальный идентификатор элемента (ГО) и уникальный идентификатор «родителя» (РагеЩГО).

Множество прототипов относится к верхнему из 2-х ярусов представления: первый даёт высокоуровневое представление об КПС, а второй детально описывает реализацию прототипов. На 2-м ярусе определяется техническая реализация системы: серверы, на которых установлено ПО, и его состав. Важным свойством разработанного представления является наличие связи между прототипом и набором ПО, отвечающим за реализацию. Это обеспечивает неявную связь уязвимостей с угрозами. Для перехода от схем 1-го яруса к схемам 2-го яруса, необходимо сопоставить каждому ХИ и КПИ один элемент, который его реализует, и затем перейти к декомпозиции. Свойства могут быть описаны с помощью функций. Например, объём всех обрабатываемых КПС персональных данных (ПДн) можно определить с помощью функции БиВБиМ, суммирующей значение одинаковых свойств дочерних элементов:

<Объём обрабатываемых ПДн, SUBSUM (Объём обрабатываемых ПДн)> Предлагается использовать открытую базу уязвимостей OSVDB, содержащую информацию об уязвимостях, которым подвержены сравниваемые реализации, и количественную оценку возможного ущерба. Свойства прототипа позволяют отфильтровать уязвимости, оставив для анализа только актуальные. Оценка количественного ущерба производится по коэффициентам общей системы оценки уязвимостей — коэффициентам CVSS. Статический эталон получается как набор реализаций компонентов, при которых ущерб и издержки минимальны:

КПС- ХИ = {Свойство 1, Свойство 2, ... Свойство N} Свойство = <Идентификатор свойства, Значение>

Сумма значений «дочерних элементов» =

где S - оценка ожидаемого ущерба и издержек для статического эталона безопасности, {AJ - множество альтернативных реализаций компонентов КПС, {Vj} - множество актуальных уязвимостей КПС, C(Vj) - ущерб от использования уязвимости V], С (Ki) - ценность компонента К].

Последовательность действий при построении статического эталона:

1. Разработать схемы 1-го яруса для КПС.

2. Разработать схемы 2-го яруса для сравниваемых реализаций КПС.

3. Для сравниваемых реализаций оценить издержки:

а) определить актуальные уязвимости по данным открытой базы уязвимостей OSVDB;

б) оценить вероятный ущерб, используя, что C(Vj) = Р * (CVSS Score), где Р - стоимость ресурса, которая выводится по цепочке связей в представлении между Vj, реализацией, прототипом, ресурсами и их ценностью, CVSS Score - обобщённый коэффициент разрушительности из OSVDB;

в) для определения C(Kj) обратиться к каталогам производителей.

4. Выбрать реализацию, соответствующую минимальным издержкам.

Кроме этого, разработанный метод позволяет немедленно направить

дополнительные средства на защиту наиболее ценных ХИ, использовать для типовых ХИ опыт существующих КПС на базе их представлений «прототип-реализация», анализировать обратную связь (учитывать уязвимости и определять вероятности угроз), интегрировать знания руководства, бизнес-аналитиков, программистов и системных администраторов.

Недостатки подхода: отсутствие типовых схем и закрытость информации о реализации КПС, количестве и результатах атак. Кроме того, важно не только изначально спроектировать КПС безопасно, но и уметь сохранять, поддерживать и даже увеличивать достигнутый уровень безопасности.

Исходя из требований к защищённости и природы современных КПС, предлагается использовать MAC в качестве фундамента для средств КБ. Компоненты КПС распределены по нескольким узлам, поэтому агенты MAC будут также функционировать на разных узлах, что обеспечит экономию вычислительных ресурсов. Такое решение позволит распределить затраты на работу средств КБ, учитывать изменения в сетевой архитектуре, обеспечивать гибкость и масштабируемость, повысить отказоустойчивость. В случае несанкционированных действий распределённое расположение средств КБ

усложнит атаку и вывод из строя КПС по сравнению с системами с единым сервером защиты. Раздельность отдельных агентов не мешает централизованному управлению комплексом средств КБ.

Оценка защищенности КПС на основе динамического эталона ее безопасности начинается с анализа текущей защищённости. Каждый компонент КПС анализируется средствами КБ на наличие уязвимостей, за что отвечают агенты анализа (АА): агенты анализа уровня компонента (ААУК) и агенты анализа уровня хоста (ААУХ). Первые более примитивны и выполняют проверку одного компонента. Вторые более «интеллектуальны» и являются агентами «мета-уровня» по отношению к ААУК. Для ААУХ предполагается возможность инициализации проверок ААУК, управление их популяцией, а также взаимодействие с другими ААУХ для проведения распределённых проверок.

По результатам работы АА обнаруженные уязвимости устраняются агентами настройки (АН). Устранение может заключаться в применении новой конфигурации или установке обновления. В роли более «интеллектуального» АН может выступить «натуральный» агент - системный администратор.

Наиболее детально рассмотрены агенты защиты (АЗ), т.к. именно при их работе создается динамический эталон КПС. Задача АЗ: проверять соответствие работы компонента его привычному поведению и определять подозрительную активность. Под привычным поведением компонента понимается наиболее частое его использование. Оцениваться соответствие может на основании статистики использования, по общему объёму операций или с использованием сведений об их последовательности, по нагрузке на процессор и другие аппаратные ресурсы. Выделяются 2 варианта работы АЗ: пассивный (анализ файлов аудита) и активный (анализ данных в реальном времени). Работа АЗ сводится к «снятию» данных с компонента и вычислению коэффициента отклонения (КО), представляющего собой число от 0 до 100 (0 — привычное поведение, 100 - явное несанкционированное действие). Для оценки КО АЗ сравнивает текущее значение с эталонным, вычисленным ранее. Т.к. эталонное значение меняется в ходе работы КПС, то оно и является динамическим эталоном компонента. Набор этих значений для КПС является динамическим эталоном всей КПС. Каждый из АЗ может использовать свой алгоритм для вычисления КО. Адаптация всей системы защиты складывается из адаптации каждого её агента. Агенты защиты хоста (АЗУХ) собирают данные остальных АЗ на хосте и проверяют допустимость общего отклонения с помощью различных мер

центральной тенденции (арифметического среднего, взвешенного среднего, винсоризованного среднего и др.).

В отличие от АА все АЗ изначально равноправны. Для общения между хостами среди АЗ выбирается агент-представитель, и всё общение идёт через него. Это позволяет построить отказоустойчивую систему, в которой каждый агент взаимозаменяем. Т.к. выход из строя АЗ - это отклонение в работе системы контроля безопасности и его необходимо отслеживать, то каждый из АЗ выступает в роли агента-ревизора. Каждому АЗ на хосте присваивается порядковый номер, и АЗ с предыдущим порядковым номером периодически проверяет АЗ со следующим номером. Для контроля за «коллегами» на других хостах процедура проверки выполняется для соседних машин. При этом необходимо проверять активность только одного АЗ - представителя. Остальных агентов на машине он проверит сам. Совмещённая блок-схема работы АЗ представлена на рис. 1. Блок-схема конкретного агента защиты получается добавлением соответствующих роли блоков.

Для анализа общего КО всей КПС на одном или нескольких узлах сети устанавливается A3 программной системы (АЗПС), который периодически запрашивает представителя на своём хосте для получения значения КО с других хостов. После этого АЗПС отображает полученные КО системному администратору и проверяет КО K1IC аналогичным образом, что и АЗУХ проверяет КО хоста. В случае обнаружения подозрительной активности или отказе A3, именно АЗПС оповещаются об этом через представителей.

Для проведения ответных действий в случае атаки предусмотрены агенты противодействия (АП). Часть защитных механизмов реализуется в A3 (локальные блокировки операций), а более глобальные переносятся в АП. В качестве вспомогательного вводится агент обучения (АО), цель которого собирать данные при выявлении атаки A3, обрабатывать их и делиться с другими агентами (например, с АА).

Представлены формальная модель MAC и разработанные алгоритмы работы A3 для оценки КО SQL-запроса на основании статистики и с использованием НС. В алгоритмах используется предположение о наличии связей между пользователем и временем его работы, между пользователем и набором таблиц, между таблицей и набором столбцов в запросе, а также наличии сложных скрытых связей, которые способны выявить НС.

14000 12000 10000 8000 6000 4000 2000 О

9 10 11 12 13 14 15 16 17 18 19

Рис. 2. Количество запросов пользователей по Рис. 3. Количество запросов к таблицам КПС часам рабочего дня

В качестве примера на графике (рис. 2) отображено количество запросов пользователей КПС (по вертикали) в разные часы активности (по горизонтали). Видно, что у каждого из пользователей есть рабочее «окно» и запросы, не попадающие в него, являются подозрительными. На графике (рис. 3) отображено

количество запросов пользователей КПС (по вертикали) к разным таблицам (по горизонтали). Видно, что каждый пользователь обладает «ролью» в КПС и определённым набором связанных таблиц. Запросы к другим таблицам являются подозрительными. Другие связи должна задействовать НС.

Формализованное определение многоагентной системы выглядит следующим образом:

MAS = (А, Е, R, ORG, ACT, COM, EV), где MAS - многоагентная система, где А - множество агентов, Е - множество сред функционирования агентов, R-множество взаимодействий между агентами, ORG - множество базовых организационных структур, ACT - набор индивидуальных и совместимых действий агентов, СОМ - возможные коммуникативные действия, EV - стратегия эволюции.

Множество агентов А состоит из следующих типов агентов: А = {ААУХ, ААУК, АН, АЗПС, АЗУХ, АЗУК, агент-представитель, агент-ревизор, АП, АО}.

Роли агента-представителя и агента-ревизора совмещаются с одной из остальных ролей агентов защиты. Каждая команда агентов преследует свои цели.

Е = {множество компонентов КПС, объединённых в общую компьютерную сеть}. Для среды Е в диссертации определены ее свойства. Множество действий ACT и классов/подклассов агентов, которые выполняют данные действия, также представлены в тексте диссертации.

Множество взаимодействий R между агентами содержит 11 типов отношений, которые подробно рассматриваются в диссертации. Примерами отношений являются кооперация A3 для проверки работоспособности «коллег» на хосте и коммуникация A3 для оповещения в случае подозрительной активности. Под отношением коммуникации подразумевается обмен информацией между агентами с помощью специальных языков коммуникации. Кооперация означает взаимодействие для осуществления совместных действий, направленных на достижение общих целей. Отношение управления позволяет одним агентам управлять поведением других.

В множество базовых организационных структур ORG входят иерархия для поиска и устранения уязвимостей (АА и АН), сеть для общении между хостами, проверки работоспособности и обеспечения защиты (A3 и АП), сеть для обучения (АА, A3 и АО).

Развитие MAC состоит в добавлении агентов на новые или неохваченные до этого компоненты КПС и в управлении ААУХ популяцией ААУК с целью снизить нагрузку на компонент. В этом и заключается стратегия эволюции EV.

Для взаимодействия агенты используют непрямой (косвенный) обмен ? сообщениями, что обеспечивает гибкость линий связи и позволяет MAC быть I' распределённой. Сообщения описываются с помощью одного из декларативных (I языков взаимодействия (KQML или FIPA ACL). Для передачи сообщений в среде j| (по сети) они «оборачиваются» в протоколы нижнего уровня, такие как TCP/IP, ¡I HTTP и др. Таким образом, СОМ = KQML U TCP/IP.

В четвёртой главе представлены результаты практической реализации разработанных методов оценки защищенности КПС. Для представления прототип-реализация формально описывается онтология на языке OWL DL (рис. . 4). Сначала используется средство Enterprise Architect, а затем более специализированный кроссплатформенный редактор Protege.

!

Согласно представлению в онтологию были введены простые именованные классы (прототип, реализация, уязвимость и др.) и эквивалентные классы (конфиденциальное данное, угроза целостности и др.). Также были добавлены | свойства-характеристики (ущерб конфиденциальности, ущерб целостности, ущерб доступности и др.) и свойства-связи (содержит, реализует, направлена на и : др.). Для всех свойств заданы домены и диапазоны значений. Далее в онтологию были добавлены сложные свойства-связи, описывающие предметную область и олицетворяющие следующие умозаключения: если угроза направлена на данные, то при её реализации объектом атаки будет прототип, содержащий эти данные, т.е. угроза будет направлена на реализацию. Если теперь учесть свойство I «Содержит прототип», определяющее элементы для уточнения прототипа, то получится, что угроза направлена не только на прототип, но и на его «родителей». Дополнительно свойство «Содержит реализацию» предполагает, что если угроза

|

]

Рис. 4. Фрагмент разработанной онтологии

направлена на реализацию, то она направлена и на уточняющие реализации. Если угроза направлена на реализацию, и реализация имеет уязвимость, то угроза может использовать эту уязвимость.

Использовались система «Студент» и система «Планирование учебного процесса» (ПЛУП), входящие в состав КИС НИУ «МЭИ». Для систем были созданы представления прототип-реализация, для которых затем в онтологию были включены соответствующие индивиды. Были заданы потенциальные угрозы и введены различные варианты реализаций для одних и тех же прототипов.

После ввода исходных данных были проанализированы результаты работы «Рассуждателя», входящего в состав Protégé. Для описания классов, их свойств и индивидов использовался язык OWL DL. На основании классов данных, на которые были направлены угрозы, удалось разделить угрозы на три класса -угрозы конфиденциальности, доступности, целостности. Были выявлены потенциальные уязвимости, которые могут быть задействованы при реализации угрозы. Для улучшения результата и задействования другой доступной информации использовался язык запросов SPARQL. В работе представлены запросы, которые позволяют не только выявить потенциальные уязвимости, но и оценить возможный ущерб от их реализации с учетом различных классов уФоз и характеристик данных. В связке с запросами для определения схожих по свойствам прототипов это позволило выбрать наиболее подходящие компоненты для реализации будущих КПС. Была практически подтверждена применимость разработанного представления для создания статического эталона безопасности. Автором предложена онтология для классификации КПС с возможностью ее интеграции с другими существующими онтолошями.

Для разработки прототипа многоагентной системы защиты, который подтвердил бы выдвинутые в работе предположения, было применено агентное моделирование с использованием программы AnyLogic и вложенных диаграмм состояний, позволяющих создавать практически любые агенты. Реализованы следующие агенты: агент-пользователь, агент-компонент, агент-злоумышленник,

агент защиты, агент противодействия, агент защиты программной системы.

На первоначальном этапе между агентами-компонентами устанавливались связи, моделирующие архитектуру системы «Студент». Агенты-пользователи имитировали типичную работу (замерялась нагрузка на каждый из компонентов). При добавлении в модель агентов-злоумышленников создавалась дополнительная нагрузка на компоненты и постепенно мера их защищённости уменьшалась. При

моделировании испытывались разные алгоритмы работы A3 для вычисления КО по нагрузке компонентов, что позволило найти способ, определяющий продолжительное увеличение нагрузки и пропускающий небольшие изменения, вероятные для привычной работы. Способ заключается в анализе величины угла между двумя прямыми. Для этого A3 снимает N показаний нагрузки. Вычисление | угла происходит на каждое N-oe снятие. По снятым показаниям получается 3 точки (xl,yl), (х2,у2) и (хЗ,уЗ). Здесь xl - время 1-го снятия, yl - его значение, х2 - усреднённое время N снятий, у2 - усреднённое значение N снятий, хЗ - время последнего снятия, уЗ - его значение.

Для полученных 3-х точек строятся 2 прямые: 1-я проходит через 1-ю и 2-ю точки, 2-я - через 2-ю и 3-ю. По угловым коэффициентам вычисляется тангенс угла между прямыми, а по нему и сам угол:

КО = tan-1^^, где fcl = к2 = ^

l+kl*fc2 x2-xl хЗ-х2

Используя данный подход, A3 обнаруживали действия агентов-злоумышленников и сообщали об этом АЛ для сброса цели агентов-злоумышленников. После этого нагрузка на атакуемый компонент постепенно снижалась. АЗПС собирал значения остальных A3 и в случае превышения порога подавал сигнал тревоги.

Приведены результаты моделирования, показавшие, что успехом завершалось не более 2% атак. Дальнейшие опыты показали, что для повышения вероятности успешной атаки до 5% необходимо как минимум два злоумышленника, которые будут атаковать одну цель. Если АП будет принимать более серьёзные меры защиты, нежели сбрасывать цель атаки (например, каждый раз увеличивать время задержки перед атакой на 5%), то вероятность успеха атаки снизится до 2%.

Т.к. нарушитель может скрываться за обычным пользователем и не вызывать изменения нагрузки, важно выбрать правильный набор характеристик для подсчёта КО. A3 были модифицированы для определения КО на основе изменения уровня защищённости (угроза нарушения конфиденциальности), а также на основании феромонта (любая другая угроза) - сообщения, оставляемого злоумышленниками A3, выдавая себя. Результаты испытаний также показали, что успешная работа MAC во многом зависит от КО, используемого каждым из A3.

Т.к. работа средств защиты зависит от эффективности каждого из A3, были реализованы разработанные алгоритмы оценки КО для защиты от угрозы нарушения целостности БД системы ПЛУП. На языке SQL были реализованы различные функции оценки КО, в которых все вероятности рассчитывались на

основании данных из таблицы аудита. Для ускорения использовалась вспомогательная таблица с подготовленными значениями нужных вероятностей. Оповещение о подозрительной активности выводилось в Windows Event Viewer, который в данном случае являлся АЗПС. При превышении порога 50 выводилось предупреждение, а при превышении 75 - ошибка.

Для реализации оценки КО на базе НС использовался пакет STATISTICA | Automated Neural Networks. С его помощью в автоматическом режиме были I обучены и проверены сеть типа многослойный персептрон с одним скрытым слоем и сеть типа радиальной базисной функции. Все данные попадали на входной слой НС и использовались для подтверждения пользователя, который осуществлял запрос. Каждый нейрон выходного слоя отображал вероятность того, что запрос принадлежит соответствующему пользователю. Наилучший результат (91% успехов) показал MLP 187-6-7. Таким образом, для внедрения была выбрана архитектура MLP и обучена сеть MLP-431-14-23 (90% успехов). С помощью кодогенератора С# НС была интегрирована в триггер MS SQL Server и использовалась аналогичным образом, что и предыдущие методы оценки КО.

В ходе опытной эксплуатации выявлено два вида злоупотреблений, которые приводили к нарушению целостности БД. Во-первых, часть разработчиков вручную исправляли значения записей в обход средств валидации, интегрированных в интерфейс пользователя. Во-вторых, были обнаружены подозрительные запросы от выделенной учётной записи, которая использовалась для синхронизации данных с другими БД. Некоторые из разработчиков использовали данную учётную запись для выполнения запросов, на которые у них недостаточно привилегий. Выявленные недостатки были успешно устранены.

ОСНОВНЫЕ РЕЗУЛЬТАТЫ И ВЫВОДЫ

1.Ha основе анализа подходов с использованием ЭС, НС, сетей Байеса, MAC, SVM-метода, онтологий и их применимости для решения задач контроля безопасности выделены методы на основе MAC, онтологии и НС. Проанализированы требования к защищенности КПС и метод адаптивной безопасности, как эффективный подход к обеспечению защиты КПС. Проанализированы варианты получения статического и динамического эталонов защищённости КПС, их использования, преимущества и недостатки.

2. Предложено представление КПС, позволяющее анализировать КПС целиком или их подсистемы и получать статический эталон. Для предложенного представления формально описана онтология, использованная для анализа

реальных КПС, результаты которого подтверждают эффективность разработанного метода по сравнению с использованием существующих средств.

3. Разработаны MAC для получения динамического эталона безопасности, состав агентов, их взаимосвязи и алгоритмы работы. Разработаны алгоритмы вычисления коэффициентов отклонения для SQL-запросов с использованием статистических методов и нейросетевых технологий. Проведена проверка разработанной модели MAC для реальной КПС, подтвердившая практическую применимость разработанного метода.

4. Реализован и внедрён в реальную КПС интеллектуальный агент защиты MS SQL, использующий разработанные алгоритмы для оценки отклонения SQL-запросов. Выявлены уязвимости при функционировании КПС.

СПИСОК ПУБЛИКАЦИЙ ПО ТЕМЕ ДИССЕРТАЦИИ Публикации в научных изданиях, рекомендованных ВАК РФ:

1. Петров С.А., Хорев. П.Б. Метод построения адаптивной защиты программных систем с использованием многоагентного подхода // Журнал «Вестник МЭИ» № 3,2013, С. 96-100.

2. Петров С.А., Хорев П.Б. Построение адаптивной защиты на базе многоагентной системы // Журнал «Безопасность информационных технологий» № 2,2013 С. 70-75.

3. Петров С.А., Хорев П.Б. Построение адаптивной защиты на базе многоагентной системы // Журнал «Вестник МГТУ «Станкин»» № 3 (26), 2013, С.98-102.

Другие статьи и материалы конференций:

4. Петров С.А., П.Б. Хорев. Анализ защищённости компьютерных систем и сетей с использованием инструментальных средств // Труды шестнадцатой МНТК «Радиоэлектроника, электротехника и энергетика», Т. 1. - М.: Изд. дом МЭИ, 2010, С. 372-373.

5. Петров С.А., П.Б. Хорев. Исследование возможностей применения экспертных систем при анализе и настройке систем оценки компьютерной безопасности // Труды семнадцатой МНТК «Радиоэлектроника, электротехника и энергетика», Т. 1. - М.: Изд. дом МЭИ, 2011, С. 380-382.

6. Петров С.А., П.Б. Хорев. Исследование возможностей применения экспертных систем при анализе и настройке систем оценки компьютерной безопасности // Труды девятнадцатой МНТК «Информационные средства и технологии», Т. 2. -М.: Изд. дом МЭИ, 2011, С 303-306.

7. Петров С.А., П.Б. Хорев. Методы искусственного интеллекта в задачах обеспечения безопасности компьютерных сетей // Труды восемнадцатой

МНТК «Радиоэлектроника, электротехника, и энергетика» Т. 1. - М: Изд. дом МЭИ, 2011, С. 63.

8. Мастюлин В.В., Акашкина М.Г., Егорова H.A., Иргалиев В.Ю., Истомин Д.С., Овсянникова М.Р., Петров С.А., Федоров А.Б. Комплексная информационная система университета - одна из составляющих повышения качества инженерного образования // Труды МНТК «Информатизация инженерного образования» - ИНФОРИГО-2012, М.: Изд. дом МЭИ, 2012, С. 83-86.

9. Петров С.А. Исследование возможностей применения экспертных, систем при анализе и настройке систем компьютерной безопасности // Сборник статей второй МНТК «Информационный технологии. Радиоэлектроника. Телекоммуникации (ITRT-2012)», Тольятти: ПВГУС, 2012, С. 113-119.

Ю.Петров С.А. Исследование возможностей применения экспертных систем при анализе и настройке систем компьютерной безопасности // Сборник научных трудов SWorld. Материалы МНТК «Перспективные инновации в науке, образовании, производстве и транспорте 2012», Выпуск 2. Т. 2. -Одесса: КУПРИЕНКО, 2012, С. 71-76.

И.Акашкина М.Г., Егорова H.A., Иргалиев В;Ю., Истомин Д.С., Мастюлин

B.В., Овсянникова М.Р., Петров С.А., Фёдоров A.B. Опыт разработки системы информационной поддержки образовательного процесса в московском энергетическом институте // Труды двадцатой МНТК «Информационные средства и технологии», Т. 3. - М.: Изд. дом МЭИ, 2012,

C. 97-102.

12.Petrov S.A. BUILDING ADAPTIVE SECURITY SYSTEM BASED ON MULTI-AGENT SYSTEM // Материалы второй МНТК «Science, Technology and Higher Education», Canada - Westwood: «Strategie Studies Institute», 2013, P. 196-201.

13.Петров C.A., Хорев П.Б. Построение адаптивной защиты на базе многоагентной системы // Труды семнадцатой МНТК «Радиоэлектроника, электротехника и энергетика», Т. 2. - М.: Изд. дом МЭИ, 2014, С. 35.

Н.Крепков И.М., Овсянникова М.Р., Петров С.А. Концепция корпоративных информационных систем МЭИ на основе критериев комплексности, системности, единства технологической платформы // Труды Международной научно-методической конференции «Информатизация инженерного образования» - ИНФОРИНО-2014, М.: Изд. МЭИ, 2014, С. 7982.

Подписано в печать кО\Ц Зак. Ш Тир. WO П.п Ц f

Полиграфический центр МЭИ —-

Красноказарменная ул.,д.13

Федеральное государственное бюджетное образовательное учреждение высшего профессионального образования «Национальный исследовательский университет «МЭИ»

04201458534 На правах рукописи

Петров Сергей Андреевич

Исследование и разработка методов и средств создания эталонов для оценки защищённости корпоративных

программных систем

Специальность 05.13.11. - Математическое и программное обеспечение вычислительных машин, комплексов и компьютерных сетей

Диссертация

на соискание учёной степени кандидата технических наук

Научный руководитель: кандидат технических наук, профессор П.Б. Хорев

Москва - 2014

Оглавление

1. МЕТОДЫ СИСТЕМ ИСКУССТВЕННОГО ИНТЕЛЛЕКТА, ИСПОЛЬЗУЕМЫЕ ПРИ

КОНТРОЛЕ БЕЗОПАСНОСТИ ПРОГРАММНЫХ СИСТЕМ.........................................................9

1.1. Продукционные системы............................................................................................................9

1.2. Нейронные сети.........................................................................................................................13

1.3. Теорема Байеса..........................................................................................................................18

1.4. Многоагентные системы...........................................................................................................19

1.5. Метод опорных векторов..........................................................................................................22

1.6. Онтологии...................................................................................................................................24

Основные выводы к первой главе...................................................................................................30

2. ОБЕСПЕЧЕНИЕ ЗАЩИЩЁННОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ...............................31

2.1. Информационная система.........................................................................................................31

2.1.1. Уровни информационной системы...................................................................................32

2.1.2. Политика безопасности......................................................................................................33

2.2. Адаптивная безопасность.........................................................................................................34

2.2.1. Управление рисками...........................................................................................................39

2.2.2. Средства анализа защищённости......................................................................................44

2.2.3. Средства обнаружения атак...............................................................................................48

Основные выводы ко второй главе.................................................................................................53

3. СОЗДАНИЕ ЭТАЛОНОВ ДЛЯ ОЦЕНКИ ЗАЩИЩЁННОСТИ КОРПОРАТИВНЫХ ПРОГРАММНЫХ СИСТЕМ..............................................................................................................54

3.1. Предмет исследования..............................................................................................................54

3.2. Анализ защищённости с применением экспертных систем..................................................55

3.3. Модель безопасности информационной системы..................................................................58

3.3.1. Субъектно-объектная модель............................................................................................59

3.3.2. Статический эталон безопасности....................................................................................60

3.4. Решение на базе многоагентной системы...............................................................................71

3.4.1. Агент анализа......................................................................................................................74

3.4.2. Агенты настройки...............................................................................................................77

3.4.3. Агенты защиты....................................................................................................................79

3.4.4. Агент противодействия......................................................................................................85

3.4.5. Агент обучения...................................................................................................................86

3.4.6. Формальное описание MAC..............................................................................................86

3.5. Оценка коэффициента отклонения SQL запроса...................................................................91

3.5.1. Оценка с использованием статистики..............................................................................91

3.5.2. Оценка с использованием нейронных сетей....................................................................95

Основные выводы к третьей главе..................................................................................................98

4. РАЗРАБОТКА СРЕДСТВ СОЗДАНИЯ ЭТАЛОНОВ ДЛЯ ОЦЕНКИ ЗАЩИЩЁННОСТИ КОРПОРАТИВНЫХ ПРОГРАММНЫХ СИСТЕМ.........................................................................99

4.1. Разработка онтологии предметной области............................................................................99

4.2. Описание используемых систем............................................................................................109

4.3. Пример использования онтологии.......i.................................................................................112

4.4. Моделирование многоагентной системы защиты................................................................122

4.5. Реализация алгоритма оценки КО для SQL запроса............................................................136

4.5.1. Реализация с использованием статистики......................................................................136

4.5.2. Реализация с использованием нейронной сети..............................................................143

Основные выводы к четвёртой главе............................................................................................149

ЗАКЛЮЧЕНИЕ. ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ.............................................................150

СПИСОК СОКРАЩЕНИЙ................................................................................................................151

СПИСОК ЛИТЕРАТУРЫ..................................................................................................................152

ПРИЛОЖЕНИЕ 1...............................................................................................................................160

ПРИЛОЖЕНИЕ 2...............................................................................................................................167

ПРИЛОЖЕНИЕ 3...............................................................................................................................170

ПРИЛОЖЕНИЕ 4...............................................................................................................................179

ПРИЛОЖЕНИЕ 5...............................................................................................................................188

ПРИЛОЖЕНИЕ 6...............................................................................................................................189

ВВЕДЕНИЕ

Современное общество не представляет своё существование без множества программных систем (ПС), в том числе и сложных систем автоматизации производства, управления полётами, управления электростанциями (включая атомные и тепловые) и т.п. И, конечно, без корпоративных информационных систем (КИС), обеспечивающих обработку больших объемов ценной информации.

Качество КИС и корпоративных программных систем (КПС) напрямую влияет на эффективность работы предприятий и организаций, а одним из показателей качества КПС (в соответствии с 180/1ЕС 9126:1993) является их защищенность. Обеспечение защиты усложняется тем, что нельзя формально описать и предсказать действия злоумышленника. Постоянное развитие и рост сложности КПС — это ещё один фактор, влияющий на их защищённость. Весьма важной становится задача создания эталонов для оценки текущей защищённости КПС, учитывающих не только известные, но и новые уязвимости и угрозы. Такие эталоны безопасности можно было бы применять как при разработке новых систем, так и для оценки защищённости уже функционирующих систем. Задача получения таких эталонов является слабо формализованной и для её решения требуется детальный анализ множества параметров систем.

На сегодняшний день одной из наиболее перспективных областей для проведения исследований является область искусственного интеллекта (ИИ). На данный момент активно ведутся исследования в области ИИ, результаты которых успешно внедряется в различные сферы человеческой деятельности. Поэтому перспективным направлением исследований представляется применение методов, используемых в системах ИИ, для решения задач контроля безопасности (КБ) ПС. Уже имеется несколько примеров успешного использования продукционных систем [15], нейронных сетей [21], многоагентных систем [41] для решения задач КБ. Исследованием различных методов анализа защищённости ПС с применением ИИ занимались и продолжают заниматься отечественные и

зарубежные авторы: Котенко И.В., Саенко И.Б., Степашкин М.В., Брюхомицкий Ю.А., Резник A.M., Карпов В.В, Ю.Р. Айдаров, Herzog, N. Shahmehri и др.

Целью данной работы является повышение эффективности средств оценки защищённости корпоративных программных систем на основе статических и динамических эталонов безопасности. Объект исследования — корпоративные программные системы. Предмет исследования - методы и средства создания эталонов для оценки защищённости корпоративных программных систем. Соответствующие области исследований: модели, методы, алгоритмы, языки и программные инструменты для организации взаимодействия программ и программных систем (п. 3 паспорта специальности ВАК 05.13.11); оценка качества, стандартизация и сопровождение программных систем (п. 10 паспорта специальности ВАК 05.13.11). Для достижения поставленной цели в диссертационной работе должны быть решены следующие научно-практические задачи:

• анализ методов, используемых в системах ИИ, и их применимости для создания эталонов защищенности КПС;

• анализ требований и принципов обеспечения безопасности КПС для уточнения понятия эталона их защищенности;

• разработка методов построения эталонов КПС, позволяющих обнаруживать и устранять как известные, так и новые угрозы безопасности КПС;

• программная реализация и проверка эффективности разработанных методов при создании и эксплуатации реальных КПС.

Методы исследования. При выполнении работы использованы методы эмпирического исследования, методы теоретического исследования, метод построения онтологий, метод агентного моделирования, статистические методы, нейронные сети, объектно-ориентированное программирование и тестирование программ.

Достоверность полученных результатов. Достоверность полученных результатов и выводов подтверждается их сравнением с результатами

использования существующих средств оценки защищённости КПС, результатами оценки защищённости реальных КПС на основе построенного с применением предложенной онтологии статического эталона, результатами программного моделирования разработанной многоагентной системы (MAC) и результатами внедрения разработанных алгоритмов оценки отклонений в корпоративной информационной системе (КИС) НИУ «МЭИ».

Научная новизна. Научная новизна работы заключается в следующем:

1. Предложено представление КПС в виде комбинации «прототип-

реализация», позволяющее выполнять анализ систем целиком или их подсистем и получать статический эталон безопасности КПС. Для предложенного представления формально описана онтология, позволяющая оценивать защищённость КПС с учётом ценности подлежащих защите ресурсов.

2. На основе введенного понятия динамического эталона разработана MAC, позволяющая получать оценки защищенности КПС с учетом новых видов уязвимостей и угроз: определены состав агентов и требования к ним, взаимосвязи между агентами, разработаны алгоритмы работы агентов. Выполнена оценка защищенности КПС на базе MAC на моделях реальных систем.

3. Разработаны алгоритмы оценки отклонения SQL запросов с использованием статистических методов и нейросетевых технологий, позволяющие обнаруживать потенциально опасные для КПС запросы.

Практическая значимость. Практическая значимость полученных результатов определяется использованием их при анализе защищённости систем КИС НИУ «МЭИ» и подтверждается внедрением интеллектуальных агентов защиты для системы «Планирование учебного процесса» (ПЛУП) и выявленными неправомерными действиями в результате их работы.

Регистрация результатов интеллектуальной деятельности. Зарегистрировано два программных продукта: «Программа для поиска конфигураций, обеспечивающих минимум издержек компании на защитные средства и возможные потери от компьютерных атак» (заявка № 2014612380) и

«Анализатор DML запросов для выявления нарушений целостности базы данных» (заявка №2014612899).

Апробация работы. Основные результаты диссертации докладывались и обсуждались на международных научно-технических конференциях «Радиоэлектроника, электротехника и энергетика» (Москва, 2011,2012,2014), международных научно-технических конференциях «Информационные средства и технологии» (Москва, 2011-2013), международных научно-технических конференциях «Информатизация инженерного образования» (Москва, 2012, 2014), международной научно-технической конференции «Информационный технологии. Радиоэлектроника. Телекоммуникации» (Тольятти, 2012, заочно), международной научно-практической конференции «Перспективные инновации в науке, образовании, производстве и транспорте 2012» (Одесса, 2012, заочно), на международной научно-практической конференции «Science, Technology and Higher Education» (Канада, 2013, заочно).

Публикации по теме работы. Основные результаты, полученные при выполнении диссертационной работы, опубликованы в 14 печатных работах, в том числе в трёх изданиях из списка ВАК: «Вестник МЭИ» (2013, № 3), «Вестник МГТУ Станкин» (2013, № 3(№26)), «Безопасность информационных технологий» (2013, №2).

Структура и объём работы. Диссертация состоит из введения, четырёх глав, заключения, списка литературы, включающего 97 наименований, списка сокращений и приложений. Диссертация содержит 150 страниц машинописного текста без учёта приложений.

В первой главе проводится анализ подходов и методов, используемых в системах ИИ. Рассматриваются продукционные системы, нейронные сети, сети Байеса, многоагентные системы, метод опорных векторов и онтологии. Описывается теоретическое обоснование данных методов, их преимущества и недостатки. Приводятся примеры успешного применения для контроля безопасности (КБ), которые доказывают возможность адаптации рассмотренных

методов для задач обеспечения безопасности и перспективность данного направления.

Во второй главе рассматриваются особенности современных корпоративных программных систем (КПС) и требования, предъявляемые к их защите. Кратко излагаются основные понятия и принципы обеспечения защиты ПС. Особое внимание уделяется концепции адаптивной защиты. Рассматриваются элементы, входящие в её состав: методика анализа рисков, средства анализа защищённости и средства обнаружения вторжений. Описываются существующие наработки в данной области.

В третьей главе предлагается два варианта подхода к анализу защищённости КПС. Для первого из них — статического эталона, описывается представление КПС, с помощью которого он может быть получен. Приводятся преимущества и недостатки статического эталона. Предлагается онтология как возможный вариант формализации. Для второго подхода - динамического эталона, предлагается архитектура MAC и входящие в неё агенты. Особое внимание уделяется агентам защиты (A3), которые рассчитывают коэффициент отклонения (КО) в работе подопечного компонента и выявляют возможную атаку. Предлагаются адаптивные алгоритмы работы A3 для оценки КО SQL запроса на основании статистики и с использованием нейронной сети.

В четвёртой главе с использованием программных средств формально описывается онтология на языке OWL DL. С её помощью анализируются системы «Студент» и «ПЛУП», разработанные ИВЦ МЭИ для НИУ «МЭИ», и отмечается состоятельность предложенного подхода. Описывается реализация модели MAC и анализируются результаты моделирования для системы «Студент». Наконец, описывается реализация предложенных алгоритмов оценки КО SQL запроса и результаты внедрения для системы «ПЛУП».

В заключении приводятся основные результаты работы.

1. МЕТОДЫ СИСТЕМ ИСКУССТВЕННОГО ИНТЕЛЛЕКТА, ИСПОЛЬЗУЕМЫЕ ПРИ КОНТРОЛЕ БЕЗОПАСНОСТИ ПРОГРАММНЫХ

СИСТЕМ

1.1. Продукционные системы

Продукционные системы — системы, которые используют продукционную модель представления знаний. Эта модель описывает любые знания как правила вида [1]: ЕСЛИ <условие> ТО <действие>. Правила называются продукциями. Левая часть (<условие>) описывает необходимые предпосылки для выполнения правой части - <действия>. Может быть несколько простых условий, которые объединяются в одно с помощью таких логических операций, как И, ИЛИ, НЕ. Общий недостаток продукционных моделей состоит в том, что при накоплении большого числа продукций они могут начать противоречить друг другу. Часто это возникает из-за того, что правила, на самом деле, являются эвристиками, которые не гарантируют стопроцентного результата. Эвристики обычно описывают эксперты на основании своего опыта, поэтому системы, использующие их называются экспертными системами (ЭС). В общем случае продукционную модель можно представить в следующем виде [2]:

* = < 5; 1-, А В; >, где

• 5 — описание класса ситуаций;

• Ь — условие, при котором продукция активизируется;

• А -> В — ядро продукции;

• (2 — постусловие продукционного правила.

Для упрощения механизма логического вывода продукционная модель расширяется порядком, который вводится на множестве продукций [3]. Порядок означает, что каждая последующая продукция должна проверяться только после попыток применить предыдущие продукции. Другой вариант упрощения - это использование приоритетов [4]. При таком подходе в первую очередь рассматриваются продукции, у которых наивысший приоритет. Проблема роста противоречивости базы знаний решается вводом механизмов исключений и/или

возвратов [5]. Основные компоненты продукционной системы это база знаний, рабочая память и механизм вывода [6]. Структура продукционной системы представлена на рис. 1.1:

Механизм вывода

I

База знаний

I

Рабочая память

Рис. 1.1. Структур�